Piratage d’e-mails : comment bien protéger vos données

Pourquoi les e-mails sont-ils une cible à haut risque ?

Les attaques visant la messagerie s’appuient souvent sur des techniques d’ingénierie sociale, qui exploitent la confiance et la réactivité des utilisateurs. Elles se manifestent sous plusieurs formes :

• Le phishing (ou hameçonnage), qui cherche à soutirer des identifiants ou à infecter un appareil via un lien ou une pièce jointe piégée. C’est aussi, dans la majorité des cas, le point de départ d’une attaque par rançongiciel : un simple clic peut déclencher tout le reste.
• Le BEC (Business Email Compromise), où un compte mail légitime est piraté (ou une adresse très proche imitée) pour envoyer de fausses instructions de paiement. C’est le mécanisme technique qui sous-tend la fraude au président et la fraude au changement de RIB : l’e-mail n’est pas la fraude elle-même, c’est le vecteur qui la rend possible.
• Les malwares via des pièces jointes piégées ou des liens renvoyant vers des sites falsifiés ;
• Des spams sophistiqués ou des faux formulaires conçus pour tromper la vigilance.

La psychologie de l’attaque est souvent le vecteur principal de succès : créer un sentiment d’urgence ou de confiance pour pousser à l’erreur. 

Exemple reconstitué, représentatif des schémas les plus fréquemment observés : un comptable reçoit un e-mail qui semble provenir d’un fournisseur habituel, avec en pièce jointe une facture au format et au logo identiques aux précédentes. Le seul détail qui cloche : le domaine de l’expéditeur remplace un "m” par deux “r” ("rn"), une substitution quasiment invisible à l’œil nu sur un écran. Le RIB indiqué sur la facture a changé, "suite à un changement de banque", précise le message. Rien dans le ton ni la mise en forme n’éveille le doute : c’est précisément pour ça que ce type d’attaque continue de fonctionner malgré la sensibilisation.

Comment repérer un domaine usurpé, les substitutions les plus courantes à surveiller lettre par lettre : 

• Un caractère remplacé par une combinaison visuellement proche : “m” → “rn”, “vv” →"w", “0” (zéro) → “O” (lettre). 
• Une extension de domaine différente : “.fr” remplacé par “.com”, ou l’ajout d’un sous-domaine trompeur (fournisseur-facturation.com au lieu de fournisseur.com). 
• Un tiret ou un mot ajouté au nom de domaine d’origine (fournisseur-support.com). 
• Un domaine correct mais un nom d’expéditeur affiché qui ne correspond pas à l’adresse réelle une fois qu’on clique dessus pour vérifier. 
• Aucun de ces indices n’est visible en survolant rapidement un e-mail sur un téléphone — c’est un point faible connu, à rappeler explicitement lors des sensibilisations.

À télécharger : Guide pratique : prévenir les fraudes et renforcer votre cybersécurité

Les bons réflexes à adopter dans l’entreprise

Sensibiliser les utilisateurs

• Vérifier l’adresse complète de l’expéditeur, pas seulement le nom affiché.
• Eviter d’ouvrir un lien ou un fichier inattendu sans vérifier sa légitimité.
• Activer des mots de passe robustes et recourir à l’authentification à deux facteurs (2FA).
• Signaler immédiatement tout message suspect aux équipes internes ou à un référent sécurité. 
• Vérifier par un canal indépendant (téléphone) toute demande de changement de coordonnées bancaires, même si l’e-mail semble parfaitement légitime.

Agir sur l’environnement technique

Vérifier que votre propre domaine ne peut pas être usurpé

Il existe trois réglages techniques — SPF, DKIM et DMARC — qui empêchent quelqu’un d’envoyer un e-mail frauduleux en se faisant passer pour votre entreprise (par exemple à vos clients ou fournisseurs). Vous n’avez pas besoin de comprendre leur fonctionnement en détail : l’essentiel est de savoir que ça existe, et de demander à votre prestataire informatique ou à votre hébergeur de messagerie si c’est bien activé sur votre domaine. 

C’est une vérification simple, qui ne demande aucune infrastructure lourde, mais qui reste souvent oubliée — alors qu’elle protège directement votre réputation si un fraudeur tente d’usurper votre nom auprès de vos partenaires. 

Complétez avec des mesures plus classiques : déployer des solutions de filtrage anti-spam et anti-malware, segmenter les droits d’accès, et établir un plan de réponse à incident. 

Pour aller plus loin : L’humain face aux attaques cyber, maillon fort ou maillon faible ?

Quand prévention ne suffit plus : intégrer une approche globale avec Stoïk

Même avec des bonnes pratiques internes et des mécanismes de protection en place, le risque zéro n’existe pas. L’approche Stoïk combine prévention, détection et assurance pour donne une vue d’ensemble de votre exposition aux risques cyber, avec analyse de surface externe, simulations de phishing et suivi des vulnérabilités techniques.

Face à la montée des fraudes au virement initiées par des e-mails compromis, Stoïk a enrichi son offre avec des mécanismes de détection des tentatives de compromission de boîtes mail, avant tout impact financier. 

Pour aller plus loin : Pourquoi faut-il souscrire à une assurance cyber ? et Renforcer la cybersécurité.

Une stratégie gagnante : prévention, formation, détection

Protéger une entreprise contre les attaques par e-mail demande une stratégie en trois volets : former les équipes pour qu’elles deviennent des actrices de la sécurité, vérifier avec votre prestataire IT que votre propre domaine est protégé contre l’usurpation, et intégrer des solutions de détection et d’assurance pour traiter les incidents qui échappent aux premières lignes de défense.

Questions fréquentes

Comment savoir si ma messagerie professionnelle a déjà été compromise ? 

Des signaux d’alerte incluent des règles de transfert automatique que vous n’avez pas créées, des e-mails envoyés depuis votre compte que vous ne reconnaissez pas, ou des connexions à des heures ou depuis des lieux inhabituels. En cas de doute, changez immédiatement votre mot de passe et alertez votre référent sécurité. 

La double authentification (2FA) suffit-elle à se protéger ? 

Elle bloque la grande majorité des prises de contrôle de compte, même en cas de fuite du mot de passe, mais ne protège pas contre toutes les techniques (par exemple certaines attaques par ingénierie sociale ciblant directement l’utilisateur). Elle doit être combinée à la sensibilisation. 

Que faire immédiatement après avoir cliqué sur un lien suspect ?

Déconnectez l’appareil du réseau, changez vos mots de passe depuis un autre appareil sain, et alertez sans délai votre équipe IT ou votre référent sécurité, la rapidité de réaction limite fortement l’ampleur des dégâts. 

Comment savoir si mon domaine d’entreprise est protégé contre l’usurpation ?

Demandez simplement à votre prestataire informatique ou votre hébergeur de messagerie de vérifier que les protections SPF, DKIM et DMARC sont activées sur votre domaine. C’est une vérification rapide, sans infrastructure lourde à mettre en place, mais souvent oubliée alors qu’elle évite qu’un fraudeur utilise votre nom pour arnaquer vos clients ou partenaires.